CVE-2024-2472
CriticalSummary
Wtyczka LatePoint Plugin dla WordPressa jest podatna na nieautoryzowany dostęp do danych oraz ich modyfikację z powodu braku sprawdzenia uprawnień w funkcji 'start_or_use_session_for_customer' we wszystkich wersjach do 4.9.9 włącznie. Umożliwia to nieautoryzowanym atakującym przeglądanie szafek innych klientów oraz zmianę haseł użytkowników LatePoint.
Risk Assessment
Organizacja narażona jest na wyciek danych osobowych, takich jak adresy e-mail, oraz na możliwość nieautoryzowanej zmiany haseł użytkowników, co może prowadzić do dalszych naruszeń bezpieczeństwa.
Recommendation
Zaleca się aktualizację wtyczki LatePoint Plugin do najnowszej wersji, aby usunąć tę podatność oraz wdrożenie dodatkowych środków zabezpieczających, takich jak monitorowanie dostępu do danych.
Original NVD description (English source)
The LatePoint Plugin plugin for WordPress is vulnerable to unauthorized access of data and modification of data due to a missing capability check on the 'start_or_use_session_for_customer' function in all versions up to and including 4.9.9. This makes it possible for unauthenticated attackers to view other customer's cabinets, including the ability to view PII such as email addresses and to change their LatePoint user password, which may or may not be associated with a WordPress account.